Sobre l'anunci del Govern d'un núvol públic sobirà català

Traducció al català de l'article de la Simona Levi publicada en castellà al web d'Xnet. Traducció feta amb el traductor de Softcatalà, posteriorment corregida per Claude i una correcció final manual.

L'anunci de la licitació de la Generalitat per a un núvol públic sobirà català és un signe que la lluita per una digitalització més democràtica comença a donar fruits. Amb la inestimable ajuda, cal dir-ho, del mal exemple que Trump, Musk i els seus aliats han donat al món: han mostrat que el que des de fa anys diem les defensores dels drets digitals no era una fantasia distòpica, sinó una possibilitat molt real. La dependència tecnològica d'infraestructures, proveïdors, jurisdiccions i decisions alienes als drets fonamentals pot convertir-se d'un dia per l'altre en un problema democràtic de primer ordre.

Per això aquesta licitació conté elements positius. Sobretot, implica un canvi de rumb: per fi comencen a introduir-se en una gran contractació pública tecnològica criteris que no responen només a la seguretat tècnica sinó també a criteris de consolidació de l'interès general: el programari lliure, és a dir, auditable, la portabilitat i la interoperabilitat, totes coses que impliquen la independència tecnològica.

Això no és menor. Des de la Directiva europea de contractació pública de 2014, la legislació ja permet adjudicar no sols per preu, sinó incorporant criteris qualitatius, socials, mediambientals i innovadors. No obstant això, en la pràctica, aquests criteris s'han aplicat massa poc. Qualsevol intent d'introduir objectius d'interès general en la contractació tecnològica ha estat sovint bloquejat per inèrcies jurídiques ancorades en una visió estreta de la competència, com si qualsevol exigència democràtica, social o tecnològica que no fos el preu més baix fos sospitosa de distorsionar el mercat. (EUR-Lex)

En aquest cas hi ha un avanç especialment rellevant per a Xnet: el plec exigeix que el licitador demostri "compromís amb l'ús de programari de codi obert" en la construcció de la plataforma, prioritzant-lo en components clau per a afavorir la independència tecnològica i la portabilitat mitjançant estàndards oberts i APIs documentades. També exigeix detallar quins components són de codi obert i quins són propietaris, i justificar aquesta elecció en termes de sobirania, funcionalitat i integració amb estàndards oberts.

És cert: no és una obligació plena de programari lliure. No exigeix que tot el codi estigui publicat, ni que tota la plataforma sigui auditable públicament. Però és un avanç important. Veurem si aquest compromís es pren de debò quan sapiguem qui guanya la licitació i quina és la composició real del sistema: quines parts són lliures, quines propietàries, quines dependències subsisteixen i qui pot auditar-les.

El plec incorpora garanties valuoses: infraestructura situada en territori català, gestió i control per una entitat sotmesa a regulació europea, requisits de sobirania legal, dades a la UE, claus sota control del client, APIs no propietàries, traçabilitat, observabilitat, auditories i mecanismes de reversibilitat. També exigeix capacitat d'integració mitjançant APIs o protocols ben documentats i no propietaris, adherits a estàndards públics i àmpliament adoptats, per a reduir la dependència de proveïdors únics.

Però la pregunta democràtica essencial és: qui podrà comprovar tot això?

Pel que hem vist en el plec, les garanties d'auditabilitat són fortes, però principalment internes i institucionals. El CTTI, l'Agència de Ciberseguretat de Catalunya i els organismes competents podran auditar la correcta execució del servei, accedir a documentació i eines, exigir assistència i plans d'acció. Això és necessari, però no suficient. No equival a transparència pública.

La sobirania no hauria de ser només per al Govern i les institucions. Demanem que totes aquestes garanties d'auditabilitat siguin públiques i accessibles. Sobirania digital no ha de voler dir que ja no volem que ens vigilin i perfilin les Big Tech perquè passin a fer-ho els nostres governs.

Finalment, sembla que no s'ha après una lliçó que no hauríem d'oblidar. Durant el Procés, la Guàrdia Civil va registrar la seu de T-Systems, llavors proveïdora tecnològica de la Generalitat, en el marc de diligències judicials relacionades amb l'1-O. Les informacions publicades van parlar de requeriments judicials d'informació i precinte d'equips. Aquest precedent mostra una qüestió clau: una infraestructura pública crítica no és sobirana si el proveïdor pot rebre una ordre judicial, administrativa o governamental —estatal o estrangera— i l'administració afectada no té una garantia contractual expressa de notificació immediata, excepte prohibició legal. En aquest sentit, falta una clàusula essencial que obligui el proveïdor a notificar immediatament al client (el Govern, en aquest cas) qualsevol petició d'autoritat pública, excepte prohibició legal expressa.

Sense una clàusula d'aquest tipus, no hi ha sobirania real ni tan sols per al propi Govern. El plec esmenta riscos com el Cloud Act i exigeix evitar accessos de jurisdiccions o matrius fora de la UE, però res més.

En definitiva: aquesta licitació és una bona notícia perquè desplaça el debat. Ja no parlem només de preu, escala i mercat; parlem de drets, autonomia, control, seguretat, codi obert, portabilitat i sobirania. És una victòria parcial d'anys de lluita per una digitalització democràtica.

Però no hem de confondre el rumb amb l'arribada. El propi marc del plec exigeix un nivell SEAL-3 de la UE, és a dir, una sobirania reforçada o resiliència digital, no la sobirania plena. És comprensible perquè encara no tenim el talent digital suficient per a això.

Per tant, la nostra posició és clara: celebrem el canvi de rumb, desitgem que es compleixi realment i demanem que es reforci.